Cómo protegerse contra ataques de phishing durante la próxima temporada navideña

En las últimas semanas del año, cuando muchos empleados y clientes se van de vacaciones de verano, la actividad empresarial tiende a desacelerarse.

En Australia, es una condición que a menudo puede extenderse hasta finales de enero. Lamentablemente, no se puede decir lo mismo de los ciberdelincuentes. De hecho, la experiencia pasada muestra que muchos aprovechan los momentos más tranquilos, cuando los niveles de personal son más bajos, para lanzar ciberataques concertados.

Para ellos, la lógica es sencilla. Cuando hay menos personal disponible, puede ser más fácil iniciar un ataque sin ser detectado. Es probable que los equipos de TI y seguridad sean más pequeños, lo que significa que existe la posibilidad de que señales que se habrían detectado durante el año pasen desapercibidas.

En muchas organizaciones, el personal subalterno suele ser contratado para cubrir los períodos de vacaciones mientras sus colegas superiores se toman un descanso. Su falta de experiencia podría provocar una respuesta incorrecta ante un intento de ataque o una mala configuración de las herramientas de seguridad.

Ataques con temas de vacaciones

En algunos casos, los ciberdelincuentes han estado utilizando la temporada navideña como gancho para ataques de phishing dirigidos. Ha habido incidentes en los que los atacantes se hicieron pasar por el departamento de recursos humanos de una organización y enviaron correos electrónicos engañosos al personal.

Esos correos electrónicos pueden alentar al personal a hacer clic en un enlace para “confirmar las fechas de sus vacaciones”. Sin embargo, cuando lo hacen, les pide que confirmen su nombre de usuario y contraseña, dándole así al atacante credenciales valiosas que pueden utilizar para obtener acceso no autorizado.

Conocidos como ataques de compromiso de correo electrónico empresarial (BEC), pueden ser sorprendentemente convincentes y pueden permitir que los atacantes obtengan fácil acceso a la infraestructura de TI de una organización.

Protegiendo contra ataques

Afortunadamente, existen algunas medidas prácticas que las organizaciones pueden tomar para reducir la probabilidad de ser víctimas de ataques de phishing con temas navideños. Incluyen:

• Realización de una formación integral de usuarios:
  La experiencia demuestra que la formación de concienciación de los usuarios es una de las medidas de seguridad más eficaces que puede adoptar una organización. Programe sesiones de capacitación que expliquen claramente los tipos de amenazas que existen y los pasos prácticos que se pueden tomar para evitar ser víctima.

  Esta formación es particularmente importante ya que una investigación industrial ha descubierto que más de la mitad de los empleados utilizan teléfonos móviles personales para trabajar cuando están de vacaciones. Esto significa que, además de ser blanco de campañas de phishing, también pueden estar expuestos a ‘smishing’. Esto es cuando los atacantes envían mensajes SMS a sus objetivos animándolos a hacer clic en un enlace incluido. Por este motivo, es importante que las organizaciones establezcan prácticas de trabajo móvil seguras para todo el personal.

• Asegúrese de que el personal pueda reconocer los mensajes de phishing:
  Además de hacerse pasar por departamentos como el de Recursos Humanos, los ciberdelincuentes también se hacen pasar por compañeros de oficina. Si de alguna manera han obtenido acceso al calendario de un miembro del personal, sabrán cuándo esa persona está de vacaciones. Luego pueden aprovechar esta oportunidad para hacerse pasar por ellos enviando mensajes a sus colegas con el objetivo de obtener datos confidenciales o derechos de acceso.

  Para evitar que esto suceda, es importante que todo el personal revise cuidadosamente todos los correos electrónicos recibidos, especialmente si parecen provenir de alguien que no está realmente en el trabajo. Deben comprobar si hay textos que parezcan extraños o solicitudes que parezcan fuera de lo común.

• Elaborar un plan de contingencia integral:
  Las organizaciones deben desarrollar planes que sirvan como una guía integral de los pasos que debe seguir el personal si ocurre un ataque. Esto les permitirá reaccionar rápidamente y, con suerte, limitar el impacto del incidente. El plan debe incluir una lista de quiénes deberían participar en la respuesta y describir sus áreas particulares de responsabilidad.
• Implemente capacidades de autenticación multifactor:
  Disponer de una solución de autenticación multifactor (MFA) puede evitar que los atacantes obtengan acceso a la red de una organización incluso si han obtenido las credenciales de inicio de sesión del personal mediante un ataque de phishing exitoso.
• Utilice la seguridad de los terminales:
  Las organizaciones también deben asegurarse de contar con una capacidad avanzada de detección y respuesta. Esto debe ser capaz de monitorear continuamente los puntos finales y llevar a cabo el bloqueo automatizado de usuarios, máquinas y comportamientos de procesos anómalos. Esto, a su vez, garantizará que todos los dispositivos de la red estén protegidos en caso de que un ciberdelincuente obtenga acceso a la infraestructura de TI de la organización.

Al tomar estas medidas, las organizaciones pueden estar seguras de que están bien posicionadas para evitar ataques cibernéticos durante la temporada navideña y el personal restante es consciente de los pasos que deben tomar en caso de que ocurra uno.

Mantente al día con nuestras historias en LinkedIn, ., Facebook y Instagram.